Coordinated vulnerability disclosureنمونه افشای آسیب‌پذیری ResponsibleDisclosure.nl
در Acme Corporation امنیت سامانه‌های خود را در اولویت اصلی می‌دانیم. اما هرچقدر هم برای امنیت سامانه‌ها تلاش کنیم، باز هم ممکن است آسیب‌پذیری‌هایی وجود داشته باشد.
اگر آسیب‌پذیری‌ای کشف کردید، می‌خواهیم از آن آگاه شویم تا برای رفع آن در سریع‌ترین زمان ممکن اقدام کنیم.
از شما می‌خواهیم به ما کمک کنید از مشتریان و سامانه‌هایمان بهتر محافظت کنیم.
لطفاً کارهای زیر را انجام دهید:
یافته‌های خود را با ایمیل به cert@example.com بفرستید. یافته‌های خود را با کلید PGP ما رمزگذاری کنید تا از افتادن این اطلاعات حیاتی به دست افراد نادرست جلوگیری شود،
از آسیب‌پذیری یا مشکلی که کشف کرده‌اید سوءاستفاده نکنید، مثلاً با دانلود داده بیش از آنچه برای نشان‌دادن آسیب‌پذیری لازم است یا با حذف یا تغییر داده‌های دیگران،
مسئله را تا زمانی که حل نشده برای دیگران فاش نکنید،
از حملات به امنیت فیزیکی، مهندسی اجتماعی، منع سرویس توزیع‌شده، هرزنامه یا برنامه‌های اشخاص ثالث استفاده نکنید، و
اطلاعات کافی برای بازتولید مسئله بدهید تا بتوانیم آن را در سریع‌ترین زمان ممکن حل کنیم. معمولاً نشانی IP یا URL سامانه آسیب‌دیده و شرح آسیب‌پذیری کافی خواهد بود، اما آسیب‌پذیری‌های پیچیده ممکن است به توضیح بیشتر نیاز داشته باشند.
آنچه وعده می‌دهیم:
ظرف ۳ روز کاری با ارزیابی خود از گزارش و تاریخ حل پیش‌بینی‌شده به گزارش شما پاسخ خواهیم داد،
اگر دستورهای بالا را رعایت کرده باشید، در رابطه با گزارش هیچ اقدام حقوقی علیه شما نخواهیم کرد،
گزارش شما را با رازداری کامل رسیدگی خواهیم کرد و اطلاعات شخصی شما را بدون اجازه شما به اشخاص ثالث نخواهیم داد،
شما را از پیشرفت به‌سوی حل مسئله مطلع نگه خواهیم داشت،
در اطلاعات عمومی درباره مسئله گزارش‌شده، نام شما را به‌عنوان کشف‌کننده مسئله ذکر خواهیم کرد (مگر اینکه خلاف آن را بخواهید)، و
به نشانه قدردانی از کمک شما، برای هر گزارش یک مسئله امنیتی که هنوز برای ما شناخته‌شده نبود پاداشی ارائه می‌دهیم. مقدار پاداش بر اساس شدت نشت و کیفیت گزارش تعیین می‌شود. حداقل پاداش یک کارت هدیه ۵۰ یورویی خواهد بود.
می‌کوشیم همه مشکلات را در سریع‌ترین زمان ممکن حل کنیم و می‌خواهیم در انتشار نهایی درباره مسئله پس از حل آن نقش فعالی داشته باشیم.
این متن را Floor Terra نوشته است و با مجوز Creative Commons Attribution 3.0 Unported منتشر شده است.